كتبت : لمياء جمعة
كشف باحثو كاسبرسكي النقاب عن عملية تُدعى TunnelSnake، وتتمثل بحملة تهديد متقدم مستمر، تنشط منذ العام 2019، واستهدفت كيانات دبلوماسية في آسيا وإفريقيا. واستخدم المهاجمون في العملية برمجية “روتكيت” لم تكن معروفة سابقًا يطلق عليها اسم Moriya، وتتمتع بسلطة تحكّم شبه مطلقة بنظام التشغيل. ومكّنت هذه البرمجية الجهات التخريبية الواقفة وراءها من اعتراض حركة البيانات في الشبكة وإخفاء الأوامر التخريبية الصادرة إلى المضيفين المصابين. وقد أدّى ذلك إلى سيطرة المهاجمين سرًا على شبكات الكيانات المستهدفة لعدة أشهر.
وتُعدّ برمجيات “روتكيت” Rootkit، مجموعات من البرمجيات أو الأدوات البرمجية الخبيثة التي تمنح المهاجمين وصولًا سريًا غير محدود إلى جذور نظام حاسوبي ما. وتشتهر برمجيات “روتكيت” بقدرتها على التخفي والتهرب بفضل اندماجها في نسيج نظام التشغيل.
وأصبح التوظيف والتنفيذ الناجحين لمكونات “روتكيت” مهمة صعبة في الآونة الماضية، بفضل الإجراءات التي اتخذتها مايكروسوفت على مر السنين لحماية الأنظمة لا سيما في حيّز نواة النظام (Kernel)، ما جعل الجهات التخريبية تستفيد من معظم برمجيات روتكيت الموجهة إلى النظام ويندوز في هجمات عالية المستوى مثل TunnelSnake.
وشرعت كاسبرسكي في التحقيق في الحملة المذكورة عندما تلقت مجموعة من التنبيهات من حلولها الأمنية تفيد بوجود أداة روتكيت فريدة داخل شبكات مستهدفة. واتّصفت هذه الأداة البرمجية، التي سُمّيت Moriya، بالمراوغة بفضل تمتعها بسمتين اثنتين؛ فهي تعترض وتفحص باقات البيانات الشبكية أثناء نقلها من مساحة عنوان نواة النظام، وهي منطقة ذاكرة توجد فيها نواة نظام التشغيل، وحيث تُشغّل التعليمات البرمجية المميزة والموثوق بها فقط. وقد سمح ذلك للبرمجية الخبيثة بإنزال الباقات الخبيثة الفريدة التي تُحمّل فيها قبل معالجتها بواسطة مكدّس شبكة نظام التشغيل. وتمكن المهاجمون جرّاء ذلك من تجنب الكشف عن الهجوم عن طريق الحلول الأمنية.
ثانيًا، لم تتواصل برمجية روتكيت مع أي خادم لطلب الأوامر، مثلما هو الحال عادة في معظم المنافذ الخلفية الشائعة، ولكنها استقبلت تلك الموجودة في باقات تحمل علامات مميزة، ممزوجة في الجزء الأكبر من حركة بيانات الشبكة التي دققت فيها البرمجية الخبيثة. وقد سمح ذلك لبرمجية روتكيت بتجنب الحاجة إلى بنية تحتية للقيادة والتحكم، ما أعاق التحليل وصعّب تتبع النشاط.
وجرى توظيف البرمجية Moriya في الغالب من خلال خوادم ويب ضعيفة أو مخترقة داخل الكيانات المستهدفة. وفي إحدى الحالات، أصاب المهاجمون خادمًا ببرمجية “ويب شيل” الخبيثة China Chopper التي تسمح بالتحك
